ну раз уж на то пошло..permitted params обычно выносят в отд. метод. т.е. в конце контроллера делаем
private
def doctor_params
  params[:doctor].permit(:name, :email, :password)
end

и потом вызываем как Doctor.new(doctor_params)